Amende de 403 M€ de la DPC infligée à Google : six mois pour corriger les données de localisation

Les paramètres de localisation ressemblent à du texte marketing produit, jusqu’au jour où arrive une décision de sanction. Selon Reuters, la Commission irlandaise de protection des données a transformé trois contrôles Google bien connus en un problème de RGPD à 403 millions d’euros : Activité sur le Web et les applications, Historique des positions et Précision de la localisation.

Pour les équipes qui construisent des produits, la leçon n’est pas que les fonctionnalités de localisation sont impossibles. C’est que la base légale, l’explication, la conservation et les pistes d’audit doivent résister au contact avec un régulateur qui lit les écrans de paramètres au pied de la lettre.

L’enquête de la DPC a commencé en 2020 après des plaintes d’organisations européennes de défense des consommateurs, a rapporté Reuters. Les pratiques examinées couvraient une période plus étroite que le montant de l’amende pourrait le laisser penser, du 25 mai 2018 au 4 février 2020, selon la BBC.

C’est utile pour les équipes produit : d’anciens parcours, d’anciens réglages par défaut et d’anciens choix de conservation des données peuvent encore devenir un dossier de sanction actuel.

Ce que la DPC a réellement constaté

Reuters Connect a rapporté que la DPC avait examiné le traitement par Google des informations de localisation via Activité sur le Web et les applications, Historique des positions et Précision de la localisation. Le régulateur a constaté des manquements en matière de traitement licite et loyal, de transparence et de responsabilité.

Reuters a cité Graham Doyle, commissaire adjoint de la DPC, déclarant : « En raison des manquements de Google, les personnes auraient pu ignorer que leur localisation était utilisée, par exemple, pour les influencer avec des publicités ou pour déduire leurs centres d’intérêt, et auraient pu perdre le contrôle de leurs données personnelles. » Il a ajouté : « La conservation des données de localisation des utilisateurs plus longtemps que nécessaire a aggravé cette perte de contrôle. »

Le compte rendu de la BBC explique pourquoi le régulateur a traité cette catégorie avec sérieux : les données de localisation peuvent être toutes les données utilisées pour déduire la position d’une personne, et la DPC a déclaré qu’elles peuvent révéler des informations intrinsèquement privées.

The Record a rapporté que Google avait reçu l’ordre de corriger ses pratiques de traitement des données dans un délai de six mois. Le calendrier pratique est assez court pour compter dans les plannings d’ingénierie, et assez long pour que les régulateurs attendent plus qu’une page d’aide réécrite.

L’obligation, sans les idées reçues

Les reportages de Reuters ne disent pas que le RGPD interdit la personnalisation, la publicité ou les fonctionnalités de localisation. Ils disent que la DPC a conclu que le traitement par Google des données de localisation ne respectait pas les attentes fondamentales du RGPD en matière de licéité, de loyauté, de transparence et de conservation.

Cette distinction est importante. Un produit peut demander la localisation et tout de même échouer si l’utilisateur ne peut pas comprendre ce qui est collecté, comment c’est utilisé, combien de temps c’est conservé et comment ces choix influencent les publicités ou les déductions sur ses centres d’intérêt.

Reuters Connect a rapporté que les utilisateurs n’avaient peut-être pas compris que leurs informations de localisation étaient utilisées de ces façons. En obligations simples, cela signifie que les écrans de consentement, les paramètres de compte et les avis de confidentialité ne peuvent pas être traités comme des éléments séparés rédigés par des équipes séparées.

Si Activité sur le Web et les applications, Historique des positions et Précision de la localisation interagissent, l’explication doit résister à cette interaction. Si la conservation est plus longue que nécessaire, la réponse n’est pas un paragraphe supplémentaire de texte juridique : c’est un calendrier de suppression dont quelqu’un peut prouver l’existence.

Le chantier de réparation de six mois

The Record a rapporté que la DPC avait donné à Google six mois pour mettre ses pratiques de traitement en conformité. Free Press Journal a rapporté que Google avait déclaré que ses pratiques avaient depuis été mises à jour avec des contrôles utilisateur améliorés, le genre de phrase qui envoie normalement les juristes de la confidentialité chercher des captures d’écran, des historiques de versions et des cartographies de données.

Des contrôles améliorés peuvent aider, mais les conclusions du régulateur pointent vers une liste de vérification plus large : base légale, compréhension par l’utilisateur, utilisation publicitaire en aval, déduction, conservation et preuves de responsabilité.

Pour les équipes qui construisent des produits, l’audit utile commence par l’inventaire des fonctionnalités, pas par la politique de confidentialité. Quelles interfaces collectent ou déduisent la localisation. Quels paramètres activent la collecte. Quelles équipes consomment le signal pour la personnalisation ou le ciblage publicitaire. Quelle règle de conservation s’applique après qu’un utilisateur a désactivé une fonctionnalité.

Si ces réponses vivent dans trois feuilles de calcul et dans la mémoire d’un ingénieur sur le départ, félicitations, vous avez découvert le projet de conformité.

Pourquoi la décision irlandaise voyage

Reuters a décrit la DPC irlandaise comme le principal régulateur européen de la confidentialité des données pour de nombreuses grandes entreprises Internet, car leurs activités dans l’UE sont basées en Irlande. Politico a rapporté que la sanction de 403 millions d’euros est la quatrième plus importante amende infligée par le régulateur irlandais et sa première sanction majeure contre Google.

Cela rend l’affaire pertinente bien au-delà du menu de paramètres d’une seule entreprise. La DPC ne rédige pas du texte marketing produit, mais ses conclusions sont un commentaire très direct sur l’architecture produit.

La prochaine chose à surveiller n’est pas de savoir si toutes les fonctionnalités de localisation vont disparaître. Elles ne disparaîtront pas. Surveillez plutôt la manière dont les entreprises documentent le lien entre les contrôles utilisateur et le traitement réel, surtout lorsque les signaux de localisation alimentent des publicités, des recommandations ou des profils d’intérêts.

Si vous construisez avec des données comportementales, partez du principe que le régulateur posera d’abord les questions ennuyeuses : qu’est-ce que l’utilisateur a compris, qu’avez-vous conservé, pourquoi l’avez-vous conservé et qui peut le prouver.